This thesis explores the implementation and improvement of data-driven processes within a Swedish industrial organization, specifically focusing on long-term maintenance planning in the energy sector. Despite the recognized benefits of data-driven decision-making, many organizations, including those in the energy sector, struggle to fully adopt this approach due to challenges such as organizational culture, knowledge management, and lack of top management support. This study addresses these challenges by investigating how data is currently utilized within a Swedish energy producer, identifying barriers to effective data use, and exploring the role of knowledge sharing in enhancing data-driven practices. Employing theoretical models such as Nonaka’s SECI model and Gökalp et. al. (2020) data analytics capability process maturity level, the research highlights that while some data-driven strategies are in place, there is a need for more standardized processes and greater involvement from top management. The study reveals significant impacts of knowledge sharing on data utilization, identifying barriers such as lack of training, scheduling conflicts, and physical and informational silos due to high-security requirements. Furthermore, it examines the gap between data availability and its utilization, attributing it to factors like the complexity of information systems, perceived data quality issues, and insufficient involvement of knowledgeable personnel. The findings suggest that addressing these issues through improved training, streamlined data systems, and strategic management of high-security constraints can enhance the overall effectiveness of data-driven decision-making. By fostering a data-driven culture and enhancing knowledge sharing- practices, the organization can better leverage its data assets, ultimately improving maintenance planning and operational efficiency in a high-security, regulated environment. / Detta arbete undersöker implementeringen och förbättringen av datadrivna processer inom en svensk industriell organisation, med särskilt fokus på långsiktig underhållsplanering i energisektorn. Trots fördelarna med datadrivet beslutsfattande, kämpar många organisationer, inklusive de inom energisektorn, med att fullt ut anta detta tillvägagångssätt på grund av utmaningar såsom organisationskultur, kunskapshantering och brist på stöd från ledningen. Denna studie tar itu med dessa utmaningar genom att undersöka hur data för närvarande används inom en svensk energiproducent, identifiera hinder för effektiv dataanvändning och utforska kunskapsdelningens roll i att förbättra datadrivna metoder. Genom att använda teoretiska modeller som Nonakas SECI-modell och Gökalp et. al. (2020) mognadsnivå för dataanalytisk förmåga, belyser studien att även om vissa datadrivna strategier är på plats, finns ett behov av mer standardiserade processer och större engagemang från ledningen. Studien visar betydande effekter av kunskapsdelning på datanyttjande, och identifierar hinder som brist på utbildning, schemakonflikter samt fysiska och informationsmässiga silos på grund av höga säkerhetskrav. Vidare undersöker den gapet mellan tillgänglighet och utnyttjande av data, vilket tillskrivs faktorer som komplexiteten i informationssystem, upplevda datakvalitetsproblem och otillräckligt inkludering av kunnig personal. Resultaten tyder på att genom att ta itu med dessa problem genom förbättrad utbildning, strömlinjeformade datasystem och strategisk hantering av höga säkerhetskrav kan den övergripande effektiviteten av datadrivet beslutsfattande förbättras. Genom att främja en datadriven kultur och förbättra kunskapsdelningspraxis kan organisationen bättre utnyttja sina dataresurser, vilket i slutändan förbättrar underhållsplanering och operationell effektivitet i en högsäkerhetsmiljö.

Bluetooth is a technology that has been implemented in over 5 billion devices and therefore has a considerable impact. It is the dominant technology for shortrange wireless communication. Modern society relies heavily on information technology (IT), and this has introduced a significant threat to society and companies in the form of hackers whether they be state-sponsored, political activists, or part of organized crime. This has introduced the need for companies and organizations that strive to make devices more secure, as well as standards that can be used for evaluating how secure a device is. Common Criteria (CC) is an internationally recognized set of guidelines and standards that can be used for security evaluation. There is a growing demand for enhanced efficiency in the field of security evaluation, especially considering the move to agile methodologies in information and communication technology (ICT) product development. Historically, security evaluation has been tailored to each individual product. The current trends in the certification and global ICT evaluation industry indicate a move in the direction of a greater reliance on predefined test cases. In this thesis, I describe how I designed, developed, and evaluated a toolkit that automates the evaluation of Android devices concerning a selection of security requirements that concern Bluetooth from the Mobile Device Fundamentals Protection Profile in CC. This involved a literature study, examination of the Bluetooth Core Specification, software development, and evaluation of the toolkit. My results from evaluating the toolkit found that it only reports non-compliance with a security requirement if the target of evaluation (TOE) is non-compliant. Additionally, every time the toolkit reported compliance with a security requirement, manual evaluation verified that the TOE truly complied with the security requirement. Finally, during the development phase, I discovered a vulnerability that had not been discovered during manual evaluation. It has been confirmed by the developer to be a vulnerability and a patch is currently being developed. My evaluation indicates that the toolkit I have developed is reliable and that it could therefore be used in the security industry. By finding a vulnerability by using automation, I have shown that automation could potentially be a useful approach for vulnerability research. Similarly to fuzzing, automation can be used to expose a system to behavior that it does not expect and therefore potentially reveal vulnerabilities. / Bluetooth är en teknologi som har implementerats i över 5 miljarder enheter och har därför stor inverkan. Det är den dominerande teknologin för trädlös kommunikation med kort räckvidd. Det moderna samhället är starkt beroende av informationsteknologi (IT), och detta har introducerat ett betydande hot mot samhället och företag i form av hackare oavsett om de är statligt sponsrade, politiska aktivister, eller en del av organiserad brottslighet. Detta har introducerat ett behov av företag och organisationer som strävar efter att göra enheter säkrare, såväl som standarder som kan användas för att utvärdera hur säker en enhet är. Common Criteria (CC) är en internationellt erkänd uppsättning riktlinjer och standarder som kan användas för säkerhetsutvärdering. Det finns en växande efterfrågan på ökad effektivitet inom området för säkerhetsutvärdering, särskilt med tanke på övergången till agila metoder för produktutveckling inom information- och kommunikations-teknologi. Historiskt sett har säkerhetsutvärdering skräddarsytts för varje enskild produkt. De nuvarande trenderna i certifieringsindustrin och globala ICT-utvärderingsindustrin indikerar en förflyttning i riktning mot ett mer frekvent användande av fördefinierade testfall. I denna uppsats beskriver jag hur jag designade, utvecklade och utvärderade ett verktyg som automatiserar utvärderingen av Android-enheter gällande ett urval av säkerhetskrav som rör Bluetooth från Mobile Device Fundamentals Protection Profile i CC. Detta innebar en litteraturstudie, granskning av Bluetooth Core Specification, mjukvaruutveckling och utvärdering av verktyget. Mina resultat från utvärderingen av verktyget visade att den bara rapporterar bristande efterlevnad med ett säkerhetskrav om målet för utvärdering (TOE) inte efterlever säkerhetskravet i fråga. Dessutom, varje gång verktyget rapporterade överensstämmelse med ett säkerhetskrav, verifierade manuell utvärdering att TOE:n verkligen efterlevde säkerhetskravet i fråga. Slutligen, under utvecklingsfasen upptäckte jag en sårbarhet som inte upptäckts under manuell utvärdering. Sårbarhet har bekräftats av utvecklaren och en patch håller på att utvecklas. Min utvärdering visar att det verktyg som jag har utvecklat är tillförlitlig och att den därför skulle kunna användas i säkerhetsbranschen. Genom att hitta en sårbarhet genom automatisering har jag visat att automatisering skulle kunna vara en användbar metod för sårbarhetsforskning. På samma sätt som fuzzing kan automatisering används för att utsätta ett system för beteenden som det inte förväntar sig och därför potentiellt avslöja sårbarheter.

Stuxnet, Havex, BlackEnergy, Crashoverride, and now Triton/Trisis are all examples of cyber security incidents where industrial systems were targeted. The incident Triton/Trisis is new in it’s kind, as the attacker got all the way into the safety industrial system of an oil and gas refinery. Even if the final goal of the attack is still unknown the attacker had the power to put human life directly at risk. Details of the attack are still unknown and research and reverse engineering is still going on of the attack. The purpose of this study is to create an attack graph of the case. By collecting and combining information from publicly available material and grade all the sources by its trustworthiness the study resulted in a two-layered attack graph. Each node and vector in the graph have specified trustworthiness and the nodes contain related sources, tools, and network segments. The study shows that it is possible to construct an attack graph of the case even if details are still missing. Furthermore, it shows that the specific malicious code was tailor-made, but the steps needed to reach the safety industrial system itself were largely possible with the help of publicly available tools. As a result, the whole industrial industry needs to prepare for an escalation of cyber security incidents. / Stuxnet, Havex, BlackEnergy, Crashoverride och Triton/Trisis är alla exempel på cybersäkerhetsincidenter där industrisystem blivit angripna. Händelsen Triton/Trisis är ny i sitt slag, eftersom angriparen kom hela vägen in i det industriella säkerhetssystemet i ett olje- och gasraffinaderi. Ä ven om det slutliga målet för attacken fortfarande är okänt, hade angriparen möjlighet att sätta människor i fara. Detaljer av attacken är fortfarande okända och forskning samt rekonstruktion av attacken pågår. Syftet med denna studie är att skapa en attackgraf över incidenten. Genom att samla in och kombinera information från allmänt tillgängligt material och betygsätta alla källor genom dess tillförlitlighet resulterade studien i en attackgraf med två lager. Varje nod och vektor i grafen har givits en tillförlitlighet och noderna innehåller relaterade källor, verktyg och nätverkssegment. Studien visar att det är möjligt att konstruera en attackgraf av incidenten även om det saknas detaljer. Dessutom visar den att den specifika skadliga koden var skräddarsydd, men stegen som behövdes för att nå det industriella säkerhetssystemet var till stor del möjliga med hjälp av offentligt tillgängliga verktyg. Som ett resultat behöver hela den industriella industrin förbereda sig för en upptrappning av cybersäkerhetsincidenter. / Kandidatexjobb i elektroteknik 2020, KTH, Stockholm